Ledger Doğruladı: CryptoBilis Satışlı Cüzdanlardaki Çip 24 Kelimelik Kurtarma İfadelerini Çalıyordu

Güncelleme 20:11 UTC: Güncelleme 20.11 UTC: Zincir üstü analiz de kayıp tablosunu netleştirdi: BitQuery, 11 Ekim Pazar günü Bitcoin dahil olmak üzere altı blokzincirdeki 315 cüzdandan yaklaşık 93,2 milyon doların boşaldığını tahmin etti. Bu, önceki 86 milyon dolarlık rakamlardan daha yüksek bir okuma; buna karşılık Ledger, dolaşımdaki sayıların üçüncü taraflardan geldiğini ve tamamen doğrulanmadığını...

Ledger, Ekranı Okuyan Çipi Açıkladı

Ledger, etkilenen donanım cüzdanlarının içine gizlenmiş yetkisiz bileşenin kurtarma ifadelerini nasıl ele geçirdiğini doğruladı. Şirketin Donjon güvenlik ekibi, 13 Ekim Salı günü yayımladığı güncellemede, cihazın gövdesinin içinde duran ve ekranda gösterilen verileri okuyan izinsiz bir parçayı tarif etti. Alıcı cihazı ilk kez kurduğunda ekran 24 kelimelik kurtarma ifadesini gösteriyor, bu anda yerleştirilmiş mikrodenetleyici kelimeleri çözümleyip önceden yapılandırılmış bir eSIM üzerinden LTE mobil bağlantıyla dışarıya iletiyor. Ek parça, özel anahtarları barındıran Güvenli Öge (Secure Element) çipine ve cihazın işletim sistemine dokunmuyor; işlemleri ya da imzaları da değiştirmiyor. Ledger, 9 Ekim Cuma günü yapılan açıklamadan bu yana doğrulanan tüm fon kayıplarını Güneydoğu Asya’da faaliyet gösteren satıcı CryptoBilis’in sattığı cihazlara bağlıyor ve imzalayıcının başka hiçbir yerden satın alınmış bir örneğine bağlanan kayıp görmediğini söylüyor. Şirket kaç kullanıcının etkilendiğini ya da toplam kayıp miktarını doğrulamadı; çevrimiçinde dolaşan rakamların üçüncü taraflardan geldiğine dikkat çekiyor.

Zarar Dağıtım Zinciri Boyunca Yayıldı

Sonuçlar, kurcalanmış cihazların çok ötesine geçiyor. Blokzincir araştırmacıları 86 milyon doların üzerinde kayıp tahminleri yayımladı; bazı analizler 90 milyon dolar eşiğini de aşıyor. Ancak Ledger bu toplamların hiçbirini doğrulamadı ve kendi dosya sayımı hâlâ açık. Şirket yetkililerle birlikte çalıştığını ve etkilenen kullanıcılara ulaştığını belirtiyor; altyapısının, sistemlerinin ya da doğrudan satış kanallarının ele geçirildiğine dair bir bulgu yok. CEO Pascal Gauthier, soruşturmanın imzalayıcıları kimin kurcaladığını ve bu işlemin dağıtım zincirinin hangi halkasında gerçekleştiğini hâlâ belirlemeye çalıştığını yazarak fiziksel tedarik zinciri kurcalamasını “tüm sektör için bir risk” olarak niteledi. Satıcının konumu da değişti: rakip cüzdan üreticisi OneKey, 13 Ekim’de CryptoBilis’in satıcı yetkisini geri çekti. LinkedIn’de paylaşılan bir açıklamada CryptoBilis’in eski kurucuları Vimalatheethan ve Arravind Prabu olayla bağlarının olmadığını savundu ve Mart ayındaki sahiplik değişikliğiyle şirketin kontrolleri dışında kaldığını söyledi. Binance ortak kurucusu Changpeng Zhao ise haberlerin bir kısmını sorguladı; korsanların CryptoBilis’in kontrolünü ele geçirip şirketi susturmak için bir gizlilik anlaşması kullanmış olabileceğini öne sürdü.

İkinci bir satış rotasına dair sorular, 13 Ekim güncellemesinden saatler içinde belirdi. X kullanıcısı Johannes (@0xJohannes_), 12 Ekim Pazartesi günü Avrupa’da farklı MediaMarkt mağazalarından satın aldığı iki Ledger cihazında ekstra kablolar ve kendi ifadesiyle bir LTE modülü bulduğunu bildirdi; ikinci cihazın kutusunu açtığı videoyu kanıt olarak paylaştı. Mağaza kayıtlarına dayanarak stoğu Avrupa distribütörü Aqipa GmbH’ye izledi ve cihazı inceleme için Ledger’a gönderdiğini söyledi. Ledger’ın güncellemesinin altındaki yanıtlarda MediaMarkt’a neden ad geçilmediği soruldu, bazı okuyucular ürün geri çağırımı istedi. Ledger başka imzalayıcılar ve lokasyonlardan gelen bildirimleri incelediğini ancak CryptoBilis dışında hiçbir vakayı doğrulamadığını açıklıyor; güncelleme, parası boşalan kullanıcıların iadesine değinmedi.

MediaMarkt, tüm Ledger ürünlerini mağazalarından ve çevrimiçi platformlarından çekti; bir muhabire olayı ciddiye aldığını ve üreticiyle iletişimde olduğunu bildirdi. X’te sahiplerinin fotoğraflayıp paylaştığı sökülmüş cihazları inceleyen eski Mt. Gox CEO’su Mark Karpelès, MediaMarkt’tan satılan cüzdanlarda, Filipinler’in resmi satıcısı LazMall’ın ve CryptoBilis’in ürünlerinde casus yazılım bulduğunu bildirdi; son olarak Singapur havalimanındaki Metapod’dan satın alınan bir ünitede de aynı bulguya ulaştı. LazMall görüş için bilgilendirildi, Ledger ise diğer imzalayıcılar ve lokasyonlardaki yerleştirme bildirimlerini incelerken 13 Ekim açıklaması yalnızca doğrulanmış boşaltmaları CryptoBilis cihazlarına bağladı.

Zincir üstü analiz de kayıp tablosunu keskinleştirdi: BitQuery, 11 Ekim’de Bitcoin dahil altı blokzincirdeki 315 cüzdandan yaklaşık 93,2 milyon dolar boşaldığını tahmin etti; bu, önceki 86 milyon dolarlık okumalardan daha yüksek bir rakam, fakat Ledger dolaşımdaki sayıların üçüncü taraflardan geldiğini ve tam doğrulanmadığını yineliyor. Satıcı kesintileri de sıkılaşıyor. CryptoBilis’in yeniden sattığı üniteler arasında kurcalama bildirimi bulamayan Trezor, firmayı yine de yetkili listesinden çıkardı ve satıcı ağını küçültüyor; bildirim yapılan satıcıların yetkisi 1 Ocak 2027 Cuma günü sona erecek. OneKey bir adım ileri gitti: 1 Mart ile 13 Ekim arasında CryptoBilis üzerinden alınan tüm cihazları için ücretsiz değişim sunuyor.

@Ledger · X gönderisi

13 Ekim güncellemesi.

X'te görüntüle

@Ledger · X gönderisi

13 Ekim.

X'te görüntüle

@_pgauthier · X gönderisi

Yazdı.

X'te görüntüle

Tibane Labs ve Alıcı Rehberi

Ledger’ın talimatları artık iki grup alıcıyı kapsıyor. CryptoBilis’ten cihaz satın alıp henüz kurmamış olanlardan cihaza dokunmamaları ve önce destek ekibiyle görüşmeleri isteniyor. Cihazı kurmuş olan sahiplerin varlıkları, yeni üretilmiş bir ifadeyle başka bir imzalayıcıya taşımaları gerekiyor; aynı ifadeden türetilen başka bir adrese geçiş saldırganın erişimini canlı tutar. Bu ayrımı tohum ifade saklama rehberimiz ayrıntılı anlatıyor. Ledger ayrıca cihazı açıp içinin denetlenmesine dair talimatlar yayımladı ve sökmenin donanıma zarar verebileceği uyarısını yaptı; Donjon ekibinin kendisine ulaşan cihazları inceleyip yeni bulguları paylaşacağını söyledi. Şüpheli cihazı taşımadan önce sahiplerin Ledger desteğiyle ya da polisle görüşmesi gerekiyor. Dosyada yer alması gereken eski bir bulgu var: bağımsız araştırma ekibi Tibane Labs, daha önce CryptoBilis kanalı dışından satın alınan bir Ledger Nano X’te aynı ekran okuyan tasarımı raporlamış, fakat o cihazı doğrulanmış kayıplara bağlayamamıştı. CryptoBilis, soruşturma sürerken Ledger cihazlarını satmayı durdurdu. Bir kripto cüzdanının koruma modeli ifadenin asla cihazdan çıkmamasına dayanır; bu yüzden açıkta kalınan an, günlük imzalama değil, kurulum oldu.

Doğrulanmış Kayıt Dar Kalıyor

Doğrulanmış kayıtta çarpıcı olan, hâlâ ne kadar dar olduğu: üzerine yerleştirilmiş çip fiziksel olarak incelenmiş tek bir cihaz, tek bir satış kanalı ve Ledger’ın kesinleştirmediği bir vaka sayısı. 86 milyon doların üzerindeki bağımsız toplamlar, analistler transferleri yeniden atfettikçe değişebilen adres kümelemesine dayanıyor; bu yüzden her rakamın yanında bir yöntem ve bir zaman damgası taşınmalı. Mekanizma ayrıca birçok alıcının kapalı sandığı bir sınırı yeniden çiziyor: yerleştirilmiş parça Güvenli Öge’nin ve aygıt yazılımını kapsayan tüm orijinallik denetimlerinin dışında durduğu için ifade, ekranda gösterildiği anda açığa çıktı. Doğrulanmamış rakamlara kuşkuyla yaklaşmak yerinde, ama bu kuşku doğrulanmış vakaları tahminlerle karıştırınca FUD’a dönüşür. Doğrulanmış seri numarası aralıkları ve eksiksiz adli rapor, bundan sonra izlenecek açıklamalar.